ID de CVE: CVE-2022-31231
Gravedad: Medio
¿Quién debe ejecutar este procedimiento?
Dell solicita que los clientes realicen este procedimiento de actualización de xDoctor y la instalación del parche. Este es el método más rápido y seguro, ya que con este se evita la exposición prolongada a esta vulnerabilidad. Todos los pasos se detallan en esta base de conocimientos. También hay una guía de video que se puede seguir para acompañar este artículo de la base de conocimientos, que se encuentra en el siguiente enlace.
Impacto del procedimiento:
Espere posibles tiempos de espera agotados del I/O mientras los servicios dataheadsvc se reinician nodo por nodo. Las aplicaciones deben acceder al clúster a través de un balanceador de carga y deben ser capaces de manejar el tiempo de espera agotado de I/O. Se recomienda una ventana de mantenimiento cuando se realiza este procedimiento.
Depósitos solo de CAS Excepción:
Si todos los depósitos en un ECS están resaltados exclusivamente en CAS a continuación, entonces no se ven afectados por esta vulnerabilidad de seguridad. Por lo tanto, no es necesario aplicar el parche ni es necesario seguir este artículo de la base de conocimientos.
Comando:
# svc_bucket list
Ejemplo:
admin@ecs-n1:~> svc_bucket list svc_bucket v1.0.33 (svc_tools v2.5.1) Started 2022-07-08 08:49:11 Bucket Temp Replication Owner Owner API FS Versioning Failed Bucket Name Namespace Group User VDC Type Enabled Enabled (TSO) cas_bucket region_ns RG1 casuser VDC1 CAS false Disabled False cas_bu region_ns RG1 cas_obj VDC1 CAS false Disabled False test region_ns RG1 test1 VDC1 CAS false Disabled False test_cas region_ns RG1 test_cas VDC1 CAS false Disabled False test_bkt_cas region_ns RG1 user_test VDC1 CAS false Disabled False Friday_cas region_ns RG1 Friday_cas VDC1 CAS false Disabled False
Tiempo necesario para la actividad (aproximado):
Un retraso de 60 segundos se establece de manera predeterminada por nodo entre reinicios de servicio. La cantidad de nodos en un centro de datos virtual (VDC) multiplicada por 60 segundos + 30 minutos para la preparación, la estabilización del servicio y las comprobaciones posteriores necesarias.
Ejemplos:
Un ECS VDC de 48 nodos puede tardar aproximadamente 80 minutos:
60 segundos X 48 (cantidad de nodos VDC) + 30 minutos (preparación) = 80 minutos aprox.
Un ECS de VDC de ocho nodos puede tardar aproximadamente 40 minutos:
60 segundos x 8 (cantidad de nodos de VDC) + 30 minutos (preparación) = 40 minutos aprox.
Preguntas frecuentes (FAQ):
Pregunta: ¿El parche forma parte de la versión de xDoctor?
R: El script de instalación del parche es parte de xDoctor 4.8-84 y versiones superiores. Las instrucciones para la descarga de xDoctor y la ejecución de la instalación del parche se encuentran en los pasos de resolución.
P: ¿Puedo actualizar varios VDC en paralelo?
R: No, aplique el parche a 1 VDC a la vez.
P: Si actualizo ECS después de ejecutar este procedimiento, ¿puedo volver a ejecutar el procedimiento después de la actualización?
R: No, en el caso de que se actualice a una versión de código especificada en DSA-2022-153 que tenga la corrección permanente. Sí, cuando la actualización a una versión de código no se especifica en esta misma DSA.
P: ¿Se debe volver a aplicar el parche en un ECS en el que se instaló anteriormente después de un reemplazo, una nueva creación de imagen o una expansión de nodo?
Un: No, si el VDC se encuentra en la versión de código especificada en DSA-2022-153, que tiene la corrección permanente. Sí, en el caso de que realice alguna de estas acciones en un VDC que tenga en ejecución una versión de código no especificada en esta misma DSA. Cuando se requiera el parche para estas situaciones, el ingeniero de Dell en cuestión se pondrá en contacto para informar que se requiere la actualización.
Pregunta: ¿Qué sucede si solo utilizo usuarios heredados y no uso IAM?
Un: Los clientes deben aplicar el parche independientemente de si utilizan solo usuarios heredados y no IAM.
Pregunta: ¿Con qué usuario debemos iniciar sesión para ejecutar todos los comandos de este artículo de la base de conocimientos?
R: Administrador
P: ¿Se debe ejecutar svc_patch en todos los racks o con un archivo MACHINES especializado en el que se encuentren múltiples racks en un VDC?
R: No, detecta automáticamente si existen varios racks y actualiza todos los nodos en todos los racks de ese VDC.
Pregunta: Noto que la versión de xDoctor objetivo ya no es 4.8-84.0. ¿A qué se debe?
R: Las versiones de xDoctor se producen con frecuencia, por lo que siempre se recomienda actualizar a la versión más alta. Sin embargo, si la corrección se ejecutó anteriormente con 4.8-84.0, ECS está completamente protegido contra la vulnerabilidad y no es necesario volver a ejecutarlo.
Resumen de la resolución:
Actualice el software ECS xDoctor a la versión más reciente disponible.
# sudo xdoctor --version
admin@node1:~> sudo xdoctor --version 4.8-84.0
# sudo xdoctor --upgrade --local=/home/admin/xDoctor4ECS-4.8-84.0.noarch.rpm
admin@ecs-n1:~> sudo xdoctor --upgrade --local=/home/admin/xDoctor4ECS-4.8-84.0.noarch.rpm 2022-07-04 07:41:49,209: xDoctor_4.8-83.0 - INFO : xDoctor Upgrader Instance (1:SFTP_ONLY) 2022-07-04 07:41:49,210: xDoctor_4.8-83.0 - INFO : Local Upgrade (/home/admin/xDoctor4ECS-4.8-84.0.noarch.rpm) 2022-07-04 07:41:49,226: xDoctor_4.8-83.0 - INFO : Current Installed xDoctor version is 4.8-83.0 2022-07-04 07:41:49,242: xDoctor_4.8-83.0 - INFO : Requested package version is 4.8-84.0 2022-07-04 07:41:49,242: xDoctor_4.8-83.0 - INFO : Updating xDoctor RPM Package (RPM) 2022-07-04 07:41:49,293: xDoctor_4.8-83.0 - INFO : - Distribute package 2022-07-04 07:41:50,759: xDoctor_4.8-83.0 - INFO : - Install new rpm package 2022-07-04 07:42:04,401: xDoctor_4.8-83.0 - INFO : xDoctor successfully updated to version 4.8-84.0
# svc_exec -m "ip address show private.4 |grep -w inet"
admin@ecsnode1~> svc_exec -m "ip address show private.4 |grep -w inet" svc_exec v1.0.2 (svc_tools v2.1.0) Started 2021-12-20 14:03:33 Output from node: r1n1 retval: 0 inet 169.254.1.1/16 brd 169.254.255.255 scope global private.4 Output from node: r2n1 retval: 0 inet 169.254.2.1/16 brd 169.254.255.255 scope global private.4 Output from node: r3n1 retval: 0 inet 169.254.3.1/16 brd 169.254.255.255 scope global private.4 Output from node: r4n1 retval: 0 inet 169.254.4.1/16 brd 169.254.255.255 scope global private.4
admin@ecs-n1: scp xDoctor4ECS-4.8-84.0.noarch.rpm 169.254.2.1:/home/admin/ xDoctor4ECS-4.8-84.0.noarch.rpm 100% 32MB 31.9MB/s 00:00 admin@ecsnode1~> scp xDoctor4ECS-4.8-84.0.noarch.rpm 169.254.3.1:/home/admin/ xDoctor4ECS-4.8-84.0.noarch.rpm 100% 32MB 31.9MB/s 00:00 admin@ecsnode1~> scp xDoctor4ECS-4.8-784.0.noarch.rpm 169.254.4.1:/home/admin/ xDoctor4ECS-4.8-84.0.noarch.rpm 100% 32MB 31.9MB/s 00:00 admin@ecsnode1~>
# sudo xdoctor --upgrade --local=/home/admin/xDoctor4ECS-4.8-84.0.noarch.rpm
# svc_dt check -b
admin@ecs-n1: svc_dt check -b svc_dt v1.0.27 (svc_tools v2.4.1) Started 2022-06-14 11:34:26 Date Total DT Unknown # Unready # RIS Fail # Dump Fail # Check type Time since check Check successful 2022-06-14 11:34:09 1920 0 0 0 0 AutoCheck 0m 17s True 2022-06-14 11:32:59 1920 0 0 0 0 AutoCheck 1m 27s True 2022-06-14 11:31:48 1920 0 0 0 0 AutoCheck 2m 38s True 2022-06-14 11:30:38 1920 0 0 0 0 AutoCheck 3m 48s True 2022-06-14 11:29:28 1920 0 0 0 0 AutoCheck 4m 58s True 2022-06-14 11:28:18 1920 0 0 0 0 AutoCheck 6m 8s True 2022-06-14 11:27:07 1920 0 0 0 0 AutoCheck 7m 19s True 2022-06-14 11:25:57 1920 0 0 0 0 AutoCheck 8m 29s True 2022-06-14 11:24:47 1920 0 0 0 0 AutoCheck 9m 39s True 2022-06-14 11:23:37 1920 0 0 0 0 AutoCheck 10m 49s True
# /opt/emc/xdoctor/patches/CVE-2022-31231_iam-fix/svc_patch status
admin@ecs-n1:~> /opt/emc/xdoctor/patches/CVE-2022-31231_iam-fix/svc_patch status svc_patch Version 2.9.2 Verifying patch bundle consistency DONE Detecting nodes in current VDC DONE Reading in patch details (1 of 2) DONE Reading in patch details (2 of 2) DONE Validating nodes are online DONE Checking Installed Patches and Dependencies DONE Patches/releases currently installed: n/a (Base release) Patches that need to be installed: CVE-2022-31231_iam-fix (PatchID: 3525) Files that need to be installed: /opt/storageos/conf/iam.object.properties (from CVE-2022-31231_iam-fix) /opt/storageos/lib/storageos-iam.jar (from CVE-2022-31231_iam-fix) The following services need to be restarted: dataheadsvc
# screen -S patchinstall # unset TMOUT # /opt/emc/xdoctor/patches/CVE-2022-31231_iam-fix/svc_patch install
admin@ecs-n1:~> screen -S patchinstall admin@ecs-n1:~> unset TMOUT admin@ecs-n1:~> /opt/emc/xdoctor/patches/CVE-2022-31231_iam-fix/svc_patch install svc_patch Version 2.9.2 Verifying patch bundle consistency DONE Detecting nodes in current VDC DONE Reading in patch details (1 of 2) DONE Reading in patch details (2 of 2) DONE Validating nodes are online DONE Checking Installed Patches and Dependencies DONE Patches/releases currently installed: n/a (Base release) Patches that will be installed: CVE-2022-31231_iam-fix (PatchID: 3525) Files that will be installed: /opt/storageos/conf/iam.object.properties (from CVE-2022-31231_iam-fix) /opt/storageos/lib/storageos-iam.jar (from CVE-2022-31231_iam-fix) The following services will be restarted: dataheadsvc Patch Type: Standalone Number of nodes: 5 Number of seconds to wait between restarting node services: 60 Check DT status between node service restarts: false Do you wish to continue (y/n)?y Distributing files to node 169.254.1.1 Distributing patch installer to node '169.254.1.1' Distributing files to node 169.254.1.2 Distributing patch installer to node '169.254.1.2' Distributing files to node 169.254.1.3 Distributing patch installer to node '169.254.1.3' Distributing files to node 169.254.1.4 Distributing patch installer to node '169.254.1.4' Distributing files to node 169.254.1.5 Distributing patch installer to node '169.254.1.5' Restarting services on 169.254.1.1 Restarting dataheadsvc Waiting 60 seconds for services to stabilize...DONE Restarting services on 169.254.1.2 Restarting dataheadsvc Waiting 60 seconds for services to stabilize...DONE Restarting services on 169.254.1.3 Restarting dataheadsvc Waiting 60 seconds for services to stabilize...DONE Restarting services on 169.254.1.4 Restarting dataheadsvc Waiting 60 seconds for services to stabilize...DONE Restarting services on 169.254.1.5 Restarting dataheadsvc Waiting 60 seconds for services to stabilize...DONE Patching complete.
admin@node1:/> exit logout [screen is terminating] admin@node1:/>
admin@node 1:~> screen -ls There is a screen on: 113275.pts-0.ecs-n3 (Detached) 1 Socket in /var/run/uscreens/S-admin.
admin@node1:~> screen -r 113277.pts-0.ecs-n3
# /opt/emc/xdoctor/patches/CVE-2022-31231_iam-fix/svc_patch status
admin@ecs-n1:~> /opt/emc/xdoctor/patches/CVE-2022-31231_iam-fix/svc_patch status svc_patch Version 2.9.2 Verifying patch bundle consistency DONE Detecting nodes in current VDC DONE Reading in patch details (1 of 2) DONE Reading in patch details (2 of 2) DONE Validating nodes are online DONE Checking Installed Patches and Dependencies DONE Patches/releases currently installed: CVE-2022-31231_iam-fix (PatchID: 3525) Fix for ECS iam vulnerability CVE-2022-31231 n/a (Base release) Patches that need to be installed: No files need to be installed. The following services need to be restarted: No services need to be restarted.
admin@ecs-n1:~> /opt/emc/xdoctor/patches/CVE-2022-31231_iam-fix/svc_patch status svc_patch Version 2.9.2 Verifying patch bundle consistency DONE Detecting nodes in current VDC DONE Reading in patch details (1 of 2) DONE Reading in patch details (2 of 2) DONE Validating nodes are online DONE Checking Installed Patches and Dependencies DONE Patches/releases currently installed: n/a (Base release) Patches that need to be installed: CVE-2022-31231_iam-fix (PatchID: 3525) Files that need to be installed: /opt/storageos/conf/iam.object.properties (from CVE-2022-31231_iam-fix) /opt/storageos/lib/storageos-iam.jar (from CVE-2022-31231_iam-fix) The following services need to be restarted: dataheadsvc
admin@ecs-n1 /opt/emc/xdoctor/patches/CVE-2022-31231_iam-fix/svc_patch status svc_patch Version 2.9.2 Verifying patch bundle consistency DONE Detecting nodes in current VDC DONE Reading in patch details (1 of 2) DONE Reading in patch details (2 of 2) DONE Validating nodes are online DONE Checking Installed Patches and Dependencies FAILED Fatal: Currently installed version of storageos-iam.jar is unknown. This likely means that a custom Isolated Patch is installed. Please contact your next level of support for further steps, and include this information Detected md5sum: 6ec26421d426365ecb2a63d8e0f8ee4f
svc_patch Version 2.9.2 Verifying patch bundle consistency DONE Detecting nodes in current VDC DONE Reading in patch details (1 of 2) DONE Reading in patch details (2 of 2) DONE Validating nodes are online FAILED ERROR: Could not execute commands on the object-main container on 169.254.x.x Output was 'Failed to add the host to the list of known hosts (/home/admin/.ssh/known_hosts). :patchtest:' Patching is unable to continue with unreachable nodes. To proceed: - Resolve problems accessing node(s) from this one. - Manually pass a MACHINES file containing the list of working nodes to patch (not recommended). - Contact your next level of support for other options or assistance.
admin@node1:~> ls -l /home/admin/.ssh/known_hosts -rw------- 1 root root 1802 Jul 23 2019 /home/admin/.ssh/known_hosts admin@ecs:~>
# sudo chown admin:users /home/admin/.ssh/known_hosts
admin@node1:~> sudo chown admin:users /home/admin/.ssh/known_hosts
admin@node1:~> /opt/emc/xdoctor/patches/CVE-2022-31231_iam-fix/svc_patch install
svc_patch Version 2.9.2 Verifying patch bundle consistency DONE Detecting nodes in current VDC DONE Reading in patch details (1 of 2) DONE Reading in patch details (2 of 2) DONE Validating nodes are online FAILED ERROR: Could not execute commands on the object-main container on 169.254.x.x Output was '@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ @ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @ @@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY! Someone could be eavesdropping on you right now (man-in-the-middle attack)! It is also possible that a host key has just been changed. The fingerprint for the ECDSA key sent by the remote host is SHA256:RcwOsFj7zPA5p5kSeYovF4UlZTm125nLVeCL1zCqOzc. Please contact your system administrator. Add correct host key in /home/admin/.ssh/known_hosts to get rid of this message. Offending ECDSA key in /home/admin/.ssh/known_hosts:14 You can use following command to remove the offending key: ssh-keygen -R 169.254.x.x -f /home/admin/.ssh/known_hosts Password authentication is disabled to avoid man-in-the-middle attacks. Keyboard-interactive authentication is disabled to avoid man-in-the-middle attacks. :patchtest:' Patching is unable to continue with unreachable nodes. To proceed: - Resolve problems accessing node(s) from this one. - Manually pass a MACHINES file containing the list of working nodes to patch (not recommended). - Contact your next level of support for other options or assistance.
# /opt/emc/xdoctor/patches/CVE-2022-31231_iam-fix/svc_patch status svc_patch Version 2.9.3 Verifying patch bundle consistency FAILED Patch bundle consistency check failed - md5sums for one or more files in the patch bundle were invalid, or files were not found. svc_patch will attempt to validate files in the patch using MD5SUMS.bundle, which is bundled with the patch. Output from md5sum was: ./lib/libs/svc_base.py: FAILED md5sum: WARNING: 1 computed checksum did NOT match
# sudo sed -i '/svc_base.py/d' /opt/emc/xdoctor/patches/CVE-2022-31231_iam-fix/MD5SUMS.bundle # sudo sed -i '/MD5SUMS.bundle/d' /opt/emc/xdoctor/.xdr_chksum